Express如何处理含任意数量路由节点的端点？

这问题挺常见的，我之前做过类似的用户关联文件系统的项目，给你拆解下具体实现步骤，完全不用express.static，还能做好权限控制：

1. 用通配符路由匹配任意层级路径 #

Express支持用*作为通配符来匹配路由中任意数量的后续节点，刚好能满足你要的嵌套路径需求。比如我们定义/uploads/*这个路由，就能捕获/uploads/tomatoes/red.jpg、/uploads/dir/subdir/file.txt这类任意层级的请求。

具体代码示例：

const express = require('express');
const app = express();

// 匹配/uploads之后的所有路径节点
app.get('/uploads/*', async (req, res) => {
  // 通过req.params[0]获取/uploads之后的完整相对路径
  // 比如请求/uploads/tomatoes/red.jpg，这里拿到的就是'tomatoes/red.jpg'
  const relativePath = req.params[0];
  // 后续的权限校验、文件操作都基于这个路径
});

2. 加入用户权限校验中间件 #

要按用户控制路由权限，首先得先完成用户身份认证（比如JWT、session），然后再加一个权限校验的中间件，判断当前用户是否有权访问目标路径对应的资源。

先写一个可复用的权限校验中间件：

// 假设你已经有了身份认证中间件checkAuth，能把用户信息挂载到req.user上
const checkPathPermission = async (req, res, next) => {
  const userId = req.user.id;
  const relativePath = req.params[0];

  // 这里是核心逻辑：查询你的数据库，判断该用户是否有权访问这个路径
  // 比如你的数据库里存了用户和文件/文件夹的关联关系，或者路径对应的资源归属哪个用户
  const hasPermission = await yourDB.query(
    'SELECT EXISTS(SELECT 1 FROM user_files WHERE user_id = ? AND file_path = ?)',
    [userId, relativePath]
  );

  if (!hasPermission) {
    return res.status(403).json({ message: '无该资源访问权限' });
  }
  next(); // 权限通过，继续执行后续逻辑
};

然后把中间件加到路由上，确保所有请求都先过认证和权限校验：

app.get('/uploads/*', checkAuth, checkPathPermission, async (req, res) => {
  // 这里处理合法的文件/文件夹请求
});

3. 安全处理文件系统操作（必做！防止路径遍历攻击） #

直接操作文件系统一定要注意安全，避免用户通过../这类路径遍历到服务器的敏感目录。我们需要把用户请求的相对路径和你的根上传目录拼接后，校验是否在允许的范围内。

完整的文件/文件夹处理逻辑示例：

const path = require('path');
const fs = require('fs').promises;

// 定义你的根上传目录，确保是绝对路径
const UPLOAD_ROOT = path.resolve(__dirname, 'safe_uploads');

app.get('/uploads/*', checkAuth, checkPathPermission, async (req, res) => {
  const relativePath = req.params[0];
  // 拼接成绝对路径
  const absolutePath = path.join(UPLOAD_ROOT, relativePath);

  // 关键校验：确保绝对路径在根目录范围内，防止路径遍历攻击
  if (!absolutePath.startsWith(UPLOAD_ROOT)) {
    return res.status(400).json({ message: '无效的请求路径' });
  }

  try {
    // 获取文件/文件夹的状态信息
    const stats = await fs.stat(absolutePath);
    if (stats.isFile()) {
      // 如果是文件，返回文件内容（这里用res.sendFile更高效）
      res.sendFile(absolutePath);
    } else if (stats.isDirectory()) {
      // 如果是文件夹，返回目录下的文件列表
      const files = await fs.readdir(absolutePath);
      res.json({ directory: relativePath, files });
    }
  } catch (err) {
    if (err.code === 'ENOENT') {
      res.status(404).json({ message: '资源不存在' });
    } else {
      res.status(500).json({ message: '服务器内部错误' });
    }
  }
});

4. 扩展：支持其他HTTP方法（上传、删除等） #

如果需要支持文件上传、删除等操作，直接复用通配符路由和权限中间件即可：

// 上传文件到指定路径
app.post('/uploads/*', checkAuth, checkPathPermission, async (req, res) => {
  // 处理文件上传逻辑，比如用multer库接收文件，然后保存到absolutePath
});

// 删除指定路径的文件/文件夹
app.delete('/uploads/*', checkAuth, checkPathPermission, async (req, res) => {
  const absolutePath = path.join(UPLOAD_ROOT, req.params[0]);
  await fs.rm(absolutePath, { recursive: true });
  res.json({ message: '删除成功' });
});

内容的提问来源于stack exchange，提问作者aventide